Get-ADGroupMember ：超出此请求的大小限制

Question

我正在尝试从文本文件中拉入群组，但我的一个群组太大，有 80,000 人。

我如何让它工作l，它输出我想要的方式。

$groups = Get-Content c:\temp\ADGroups.txt

foreach($group in $groups) {
    @(Get-ADGroup $group -Properties Member| Select-Object -ExpandProperty Member).Count
    Get-ADGroupMember -Identity $group |
        Get-ADObject -Properties Name, DisplayName |
        Select-Object -Property @{n="Username";e={$_.Name}}, DisplayName,
            @{n="AD Group";e={$group}} |
        Export-Csv C:\Users\Desktop\GroupsInfo.CSV -NoTypeInformation -Append
}

Answer 1

Get-ADGroupMember可以返回的对象数量受ADWS （Active Directory Web 服务）中的限制：

MaxGroupOrMemberEntries

5000

指定可由 Active Directory 模块Get-ADGroupMember 、 Get-ADPrincipalGroupMembership和Get-ADAccountAuthorizationGroup cmdlet 检索的组成员（递归或非递归）、组成员身份和授权组的最大数量。 如果您预计这些 cmdlet 在您的环境中返回超过 5000 个结果，请将此参数设置为更高的值。

根据此线程，您应该能够通过查询组对象并扩展其member属性来解决此问题（如果您无法增加对服务的限制）：

Get-ADGroup $group -Properties Member |
    Select-Object -Expand Member |
    Get-ADUser -Property Name, DisplayName

但是请注意，这可能会很慢，因为您将发送数千个请求。 构建所有用户的哈希表可能会更好：

$users = @{}
Get-ADUser -Filter '*' -Property Name, DisplayName | ForEach-Object {
    $users[$_.DistinguishedName] = $_
}

以便您可以按其专有名称查找它们：

Get-ADGroup $group -Properties Member |
    Select-Object -Expand Member |
    ForEach-Object { $users[$_] }

Answer 2

我用 Get-ADGroupMember 达到了 5000 的限制。

您可以使用带有 -LDAPFilter 参数的 Get-ADUser 来获取组成员。 它很快并且支持> 5000 个条目。

$groups = @(
    "group1"
    "group2"
    "group3"
)

Foreach ($group in $groups) {
    Get-ADUser -LDAPFilter "(&(objectCategory=user)(memberof=CN=$group,OU=Groups,OU=rest,DC=of,DC=distinguished,DC=name))" | Export-Csv "C:\$group.csv"
}

看起来您可以使用此方法构建复杂的过滤器。 我需要从一些非常大的团体中快速返回启用的成员。 我为此使用的过滤器是：

"(&(objectCategory=user)(!useraccountcontrol:1.2.840.113556.1.4.803:=2)(memberof=CN=$group,OU=Groups,OU=rest,DC=of,DC=distinguished,DC=name))"

Answer 3

我听说这是 AD Webservices 的一个限制，它实际上为来自 powershell cmdlet 的请求提供服务。 最大大小为 5000。但是您可以尝试 dsget 命令，尽管您需要有点创意。

$GroupDN = (Get-ADGroup -Identity $Group).DistinguishedName将为您提供组的 DN。

像这样使用DSget 。

$members = DSget group $GroupDN -members这将为您提供所有成员的 DN 列表。

将其提供给管道或foreach循环中的Get-ADUser cmdlet，您就可以开始了。

Answer 4

您需要使用 -resultpagesize 参数。 您可以指定的最高值是 2147483647。所以：

Get-ADGroupMember -Identity $group -resultpagesize 2147483647 |
    Select-Object -Property @{n="Username";e={$_.Name}}, DisplayName,
        @{n="AD Group";e={$group}} |
    Export-Csv C:\Users\Desktop\GroupsInfo.CSV -NoTypeInformation -Append

Answer 5

只需从 ADUC --> View --> Filter Option - 每个文件夹显示的最大选项数增加限制。

就是这样。 再次尝试运行您的命令。 我花了 4 天的时间来弄清楚这一点，最后它起作用了。

Answer 6

这就是我的做法。 我需要从安全组中提取超过 25k 台机器。

$Groups = gc C:\Temp\Groups.txt
$results = foreach ($Group in $Groups) {
Get-ADGroup $Group -Properties Member | Select-Object -ExpandProperty Member | Get-ADObject -Properties Name
}
$results | Export-csv "C:\Temp\Groups.csv" -NoTypeInformation